DVWA靶场练习十三—CSP Bypass

---

 

一、什么是CSP？

    CSP全称是：Content-Security-Policy，内容安全策略。是指HTTP返回报文头中的标签，浏览器会根据标签中的内容，判断哪些资源可以加载或执行。主要是为了缓解潜在的跨站脚本问题(XSS)，浏览器的扩展程序系统引入了内容安全策略这个概念。原来应对XSS攻击时，主要采用函数过滤、转义输入中的特殊字符、标签、文本来规避攻击。CSP的实质就是白名单制度，开发人员明确告诉客户端，哪些外部资源可以加载和执行。开发者只需要提供配置，实现和执行全部由浏览器完成。
    

启用CSP的两种方法：
（1）通过HTTP相应头信息的Content-Security-Policy字段；
（2）通过网页标签。

CSP学习可参考Tencent开发者手册：https://cloud.tencent.com/developer/section/1189835

---

    

DVWA CSP Bypass：

二、低级（Low Level）

先查看分析源码：

$headerCSP = "Content-Security-Policy: script-src 'self' https://pastebin.com  example.com code.jquery.com https://ssl.google-analytics.com ;"